CVE-2026-61500

Rejetto HFS 3.0.0 bis 3.2.0 leitet seinen Signaturschlüssel für Sitzungscookies vom nicht kryptografischen Generator Math.random() ab und gibt nicht authentifizierten Clients während der Anmeldung Ausgaben desselben Generators preis. Ein entfernter Angreifer kann eine kleine Anzahl von Anmeldeantworten sammeln, den Zustand des Generators rekonstruieren, den Signaturschlüssel wiederherstellen und ein gültiges Sitzungscookie für einen Administrator fälschen, was zu vollständigem administrativem Zugriff und zur Ausführung von Code aus der Ferne über die Konfigurationsfunktion server_code führt.